В Axios раскрыли критическую уязвимость CVE-2026-40175 с оценкой до 10.0 по CVSS. Проблема затрагивает версии ниже 1.15.0 и может привести к удалённому выполнению кода и компрометации облачной среды. По оценкам, в Рунете около 20 000 активных хостов, и примерно 39% из них используют потенциально уязвимые версии.
Атака строится как цепочка. Сначала происходит Prototype Pollution в зависимостях вроде qs, minimist или body-parser. Затем Axios наследует загрязнённые свойства и добавляет их в заголовки без проверки символов перевода строки, что позволяет внедрять заголовки, разделять HTTP-запросы и обращаться к AWS IMDS для получения IAM-токенов.
Для защиты рекомендуется обновить Axios до версии 1.15.0, провести аудит зависимостей на Prototype Pollution с помощью npm audit и SCA, ограничить доступ к 169.254.169.254 через Network Policies или Security Groups, а также настроить WAF для выявления попыток передачи proto и CRLF-инъекций на входе.
Атака строится как цепочка. Сначала происходит Prototype Pollution в зависимостях вроде qs, minimist или body-parser. Затем Axios наследует загрязнённые свойства и добавляет их в заголовки без проверки символов перевода строки, что позволяет внедрять заголовки, разделять HTTP-запросы и обращаться к AWS IMDS для получения IAM-токенов.
Для защиты рекомендуется обновить Axios до версии 1.15.0, провести аудит зависимостей на Prototype Pollution с помощью npm audit и SCA, ограничить доступ к 169.254.169.254 через Network Policies или Security Groups, а также настроить WAF для выявления попыток передачи proto и CRLF-инъекций на входе.